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(PROCEDE DE DISSIMULATION D'UN CODE SECRET DANS UN DISPOSITIF D' AUTH ENTI FIC ATI O N 
INFORMAT1QUE. 

57) L'invention conceme un procede de dissimulation d'un 
^3e secret dans un dispositif d'authentification informati- 
que (10) consistant a crypter le code secret (s) par une 
fonction de cryptage (g) pour former une image de code 
secret (s) et a memo riser cette image de code secret dans 
le dispositif d'authentification. II consiste, au prealable, a 
choisir une fonction de cryptage (g) qui est telle que, a cha- 
que image de code secret memorised, il correspond une 

pluralite de codes antecedents (s1 sn) tous d iff e rents 

du code secret, mais qui, une fois cryptes par la fonction de 
cryptage (g), ont une image (s) identique a celle du code 
secret. 

Elle conceme aussi un procede de verification du code 
secret d'un utilisateur muni d'un dispositif d'authentification 
dans lequel est memorisee i'image du code secret. 

Application au domaine de ('authentication informatique. 
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PROCEDE DE DISSIMULATION D'UN CODE SECRET 
DANS UN DISPOSITIF D 1 AUTHENTIFICATION IN FORMAT I QUE 

DESCRIPTION 
Domaine technique 

L 1 invention concerne un proced6 pour dissimuler 
un code secret dans un dispositif d 1 authentif ication tel 
qu'une disquette informatique, une carte & m£moire, . . . , 
pouvant etre lu & partir d'un lecteur adequate 

Elle trouve des applications dans tous les 
syst^mes informatiques mettant en oeuvre une procedure 
d* authentif ication des utilisateurs voulant se connecter, 
depuis un terminal, sur le syst&ne central. 

Etat de la technique 

Dans les systemes informatiques actuels, la 
protection des donnees joue un role de plus en plus 
important. En effet, la qualite du systeme informatique 
depend de mani£re decisive de la s£curit6 de l'echange de 
donnees £ l'int6rieur du syst6me. On cherche done de plus 
en plus k securiser l'acc^s au systeme, c'est-A-dire que 
I'on cherche a controler si les personnes utilisant le 
systeme sont autoris§es A l'utiliser, les personnes non 
autoris6es devant alors etre refus^es par le systeme. 

Un mode de realisation simple, mais n'offrant 
pas une s6curit& absolue, consiste & contrdler l'acc&s au 
systeme informatique par la verification du mot de passe 
connu uniquement de 1 f utilisateur autorise et souvent 
change afin de limiter la possibility que des utilisateurs 
non autoris6s decouvrent ce mot de passe. Cependant, il y a 
de forts risques pour que les mots de passe soient 
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interceptes par des personnes non autorisees d6sireuses 
d'utiliser le syst^me informatique. 

De plus, ce mot de passe est stocks dans la zone 
m6moire du syst£me informatique (zone prot£g£e ou non) afin 
5 d'etre compart au mot de passe entre par l f utilisateur. II 
peut done etre facilement retrouv6 en m6moire par un 
utilisateur frauduleux. 

Pour eviter cette fraude, une technique consiste 
£ crypter le mot de passe avant de le stocker en memoire. 

10 Ce cryptage se fait au moyen d'une fonction de cryptage qui 
est choisie, en general, de facon a ce qu f il soit 
impossible de retrouver le mot de passe £ partir de 1' image 
du mot de passe obtenue apres cryptage de ce mot de passe. 
Cette technique est utilisee, par exemple, dans les 

15 syst^mes UNIX®. 

Dans ce cas # 1' image du mot de passe est stockee 
en clair dans la memoire de sorte qu'il est possible & un 
utilisateur frauduleux de recuperer le fichier de toutes 
les images de mots de passe memorisees et ensuite 

20 d' impl&nenter la fonction de cryptage sur un autre syst&ne 
informatique et d'essayer des listes de mots de passe 
jusqu'a retrouver ceux qui correspondent aux images du 
fichier. Une telle analyse du code du systeme (fonction, 
fichier des images de mot de passe...) est appelee "attaque 

25 par dictionnaire" . 

Par ailleurs, il existe un precede permettant de 
dissimuler un code secret en stockant, sur des moyens de 
stockage tels qu'une disquette, une carte a memoire, etc., 
1' image du code secret par une fonction de cryptage 

30 reversible, param6tr6e par le mot de passe de 
l'utilisateur. Ce proc£d6 est mis en oeuvre "localement", 
c'est-4-dlre qu'il est execute par le terminal, en liaison 
avec les moyens de stockage et qu'il ne n^cessite aucune 
connexion vers le systeme central. 
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Ce proc6d§ est ctecrit en detail dans la demande 
de brevet FR-A-2 690 257. 

Corarae explique dans cette demande de brevet, ce 
proced§ permet aussi de changer le mot de passe de 
1 • utilisateur localement, c ■ es t-4-dire sans qu ' aucune 
connexion au systeme central ne soit necessaire. Par 
contre, une connexion au systeme est obligatoire pour 
verifier la validit§ de ce changement de mot de passe. 

L' authentication de 1 ' utilisateur se fait done 
localement : le code secret n'est jamais transmis, sur une 
ligne de transmission, vers le systeme central. L' unique 
transmission du code secret au cours du precede, se fait 
entre le lecteur des moyens de stockage et le terminal, ce 
qui limite les risques d' interception par un fraudeur. La 
connexion sur le systeme central se fait ensuite, 
e'est-a-dire apres verification locale du code secret. 

Cependant, un tel procede necessite une 
protection physique des moyens de stockage (disquette) pour 
eviter la fraude directement sur ces moyens de stockage. 
Ceci implique done 1 1 utilisation de materiels et de 
technologies specifiques, entrainant un coat relativement 
important . 

Expose de l f invention 



L 1 invention a pour but de remedier aux 
inconvenients des procedes decrits prec§demment . A cette 
fin, elle propose un precede pour dissimuler un code secret 
dans un dispositif d' authentication tel qu'une disquette 
ou une carte £ memoire. Ce procede permet de verifier 
localement le code secret entre par 1 'utilisateur, tout en 
limitant les risques d'attaques par dictionnaire. 

De fagon plus precise, 1' invention concerne un 
procede de dissimulation d'un code secret dans un 
dispositif d'authentif ication informatique consistant £ 
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crypter le code secret par une fonction de cryptage pour 
former une image de code secret et a m&noriser cette image 
de code secret dans le dispositif d 1 authentif ication. Ce 
procedS se caractferise par le fait qu'il consiste, au 
5 pr6alable, k choisir une fonction de cryptage qui est telle 
que, £ chaque image de code secret, il correspond une 
pluralite de codes antecedents tous diff6rents du code 
secret, mais qui, une fois- cryptes par la fonction de 
cryptage, ont une image identique k celle du code secret. 
10 Avantageusement, le code secret ayant n 

caracteres, la fonction de cryptage consiste & associer £ 
ces n caracteres une image de code secret de k caracteres, 
avec k < n. 

Selon un mode de realisation pref£re de 
15 1' invention, le nombre k des caracteres de 1' image du code 

secret est 6gal 4 — . 

2 

L 1 invention concerne aussi un procede de 
verification du code secret d'un utilisateur voulant 
acceder & un syst&me central a partir d'un terminal. Cet 

20 utilisateur etant muni d'un dispositif d' authentif ication 
dans lequel est dissimul£e 1' image du code secret par la 
fonction de cryptage, ce procede se caracterise par le fait 
qu'il comprend une etape de verification locale du code 
secret entr£ par 1 'utilisateur et crypte par la fonction de 

25 cryptage, par comparaison avec 1' image du code secret 
m6moris6e dans le dispositif d' authentif ication ; puis, si 
cela est v6rifi6, il comporte une etape d' authentif ication 
par le systdme central. 

30 Br£ve description des figures 

- La figure 1 repr£sente schematiquement la 
repartition des images du code secret dans la m6moire ainsi 
que des antecedents possibles de cette image ; 
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- les figures 2A, 2B, 3A et 3B representent des 
exeraples de fonctions de cryptage appliqu6es a un certain 
nombre de caracteres numeriques ; et 

- la figure 4 reprSsente le schema fonctionnel 
du proc6d6 de verification du code secret. 

Description detaillee de modes de realisation 
de 1' invention 

L' invention concerne un precede pour dissimuler 
un code secret dans un dispositif d'authentif ication tel 
qu'une disquette inf ormat ique ou une carte memoire ou 
encore une calculette. 

Ce proc^de consiste a crypter le code secret par 
une fonction de cryptage g, de facon a former une image du 
code secret qui est ensuite memorisee dans le dispositif 
d* authentif ication. 

La fonction de cryptage g est choisie de facon a 
ce que 1' image du code secret soit suffisamment precise 
pour qu'une faute de frappe, tapee par 1 ' utilisateur 
lorsque celui-ci entre son code secret, puisse etre 
detect6e avec une probability tout a fait satisfaisante 
mais que, pourtant, chaque image du code secret possede de 
nombreux antecedents par la fonction de cryptage, de fagon 
a ce qu'une attaque par dictionnaire fournisse de 
nombreuses fausses solutions a la verification locale, mais 
pas a 1 1 authentif ication distante. 

En d'autres termes, la fonction de cryptage g 
est choisie de facon a ce que le code secret ait une image 
de code secret qui corresponde a une multitude de codes 
antecedents (appeles simplement "antecedents", dans la 
suite du texte) . Ces codes antecedents sont une sorte de 
faux codes secrets, qui, codes par la fonction de cryptage 
g, donnent tous la meme image de code secret que le 
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veritable code secret de 1 'utilisateur, mais qui seront 
refuses lors de la procedure d' authentication. 

Ainsi, un utilisateur frauduleux qui serait en 
possession du dispositif d' authentif ication, par exemple de 
la disquette, et qui aurait ainsi decouvert le fichier des 
images de codes secrets et qui, par ailleurs, serait en 
possession de la fonction de cryptage g, ne pourrait pas 
determiner pr6cis§ment quel est le code secret de 
1 ' utilisateur . En effet, une attaque par dictionnaire lui 
fournirait de nombreuses solutions a la verification 
locale, mais une tr&s faible chance de trouver la veritable 
solution, c'est-a-dire le veritable code secret. 
Ef f ectivement, si 1 'utilisateur frauduleux essaie l'un des 
codes antecedents fourni par 1* attaque par dictionnaire, 
celui-ci est v£rifi£ localement ; par contre, il sera 
refuse lors de 1 ' authentif ication & distance, c'est-d-dire 
de 1 • authentif ication par le systeme central. 

On a represente sur la figure 1, de fagon tres 
schematique, la repartition des images de codes secrets 
dans la memoire, ainsi que la repartition des codes 
antecedents de ces images de codes secrets. 

De fagon plus precise, on a appeie "El" 
1* ensemble de tous les codes qui pourraient etre un code 
secret choisi par 1 1 utilisateur et "E2" 1 ? ensemble de 
toutes les images de ces codes secrets qui pourraient §tre 
choisis par 1 'utilisateur . L' ensemble El comporte done tous 
les eventuels codes secrets, dont, en particulier, un code 
x et une multitude de codes si & sn. 

Si "g" est la fonction de cryptage choisie, 
alors 1' image du code x par la fonction de cryptage g donne 
1' image X qui se situe dans 1* ensemble E2 des images de 
codes secrets possibles. D f autre part, 1 1 image par la 
fonction de cryptage g de chacun des codes si & sn donne 
1' image de code secret S contenue dans l f ensemble E2 . 
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Ce sont done tous ces codes antecedents si, s2, 
s3, sn qui, codes par la fonction de cryptage g, 

donnent une image S qui correspond aussi & I 1 image du 
veritable code secret. On comprend done que l'un de ces 
codes si £ sn est le veritable code secret choisi par 
1' utilisateur . Ainsi, bien que tous ces codes antecedents 
si £ sn aient pour image S, l'un seulement de ces codes 
antecedents est le veritable code secret qui verifiera 
1 ' authentif ication par le systeme central. 

Ainsi, un utilisateur frauduleux qui serait en 
possession £ la fois de la fonction de cryptage g et de 
1' image de code secret S, ne saura lequel des codes 
antecedents si 4 sn choisir. Aussi, s'il essaie localement, 
e'est-a-dire au niveau du terminal informatique, l'un de 
ces codes antecedents si a sn, la verification par le 
terminal lui donnera une reponse positive, e'est-a-dire 
qu'une procedure d f authentif ication peut etre mise en 
oeuvre. Cependant, cette procedure d' authentif ication 
n'aboutira pas et la connexion au systeme central sera 
refusee. 

Par contre, la fonction de cryptage est choisie 
de facon & ce qu f elle fournisse des images de codes secrets 
suffisamment precises pour qu'une faute de frappe de la 
part de 1 'utilisateur puisse etre detectee localement, 
c*est-a-dire sans n6cessiter de connexion avec le systeme 
central, 

Selon un mode de realisation del' invention, la 
fonction de cryptage g est une fonction qui associe k n 
caracteres constituant le code secret, une image de code 
secret de taille reduite, e'est-^-dire de k caracteres, 
avec k < n. Par exemple, pour un code secret ayant n 
caracteres, la fonction de cryptage g associe une image de 
k » n/2 caracteres. Dans le mode de realisation prefere de 
l r invention, la fonction g associe a un code secret de huit 
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caracteres (ce qui correspond k une taille d' environ 
2 40 bits), une image de code secret de quatre caracteres 
(taille d'environ 2 20 bits). 

Pour une fonction de cryptage g de ce type, 
1'utilisateur qui tape le veritable code secret avec une 
faute de frappe aura un risque sur environ un million de 
cas (1 sur 2 20 ) que sa faute de frappe ne soit pas detect6e 
lors de I 1 operation de verification locale ; par contre, un 
utilisateur frauduleux qui tente une attaque par 
dictionnaire se verra confronts £ environ un million de 
solutions (2 20 ), parmi lesquelles une seule est la bonne, 
c'est-a-dire qu'une seule correspond au veritable code 
secret. 

On comprendra, bien sQr, que plusieurs fonctions 
peuvent etre utilisees, pour verifier les conditions 
6nonc£es pr6c6demment . Meme des fonctions tr£s simples 
peuvent Stre utilis£es. Par exemple, si l'on prend en 
compte les chiffres entre 0 et 9 et les lettres de 
1' alphabet que l*on represente par des valeurs comprises 
entre 10 et 35, on peut choisir une fonction gl qui 
associe, & chaque couple de caracteres (lettres ou 
chiffres) du code secret de 1'utilisateur, une valeur 
determine entre 0 et 35, de telle sorte que pour un 
caractere donn6 du bigramme (c'est-a-dire du couple de 
caracteres), 1* image soit differente lorsque le deuxieme 
caractere varie. On peut, par exemple, choisir la somme des 
deux valeurs du bigramme. 

La figure 2A represente schematiquement le 
traitement effectue par la fonction gl sur un code secret 
comprenant n caracteres. 

On a done represente sur cette figure 2A, les 
n/2 couples de caracteres (cl, c2) (c3, c4)... (cl, cn) et 
chacune des images Ic^,..., Ic n /2 de ces bigrammes. D'apres 
la definition de la fonction gl, d&crite precedemment, 
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chaque image Ic n /2 correspond k la somme des caracteres 
et C n du bigramme correspondant, sachant que si la somme de 
ces caracteres donne une valeur superieure ou 6gale k 10, 
on choisit pour Ic n /2 la valeur de plus faible poids, £ 
savoir le chiffre de 1' unite. 

La figure 2B represente un exemple numerique du 
cryptage realise au moyen de la fonction gl. Dans cet 
exemple, on considere un code secret de huit caracteres 
num£riques not6s cl, c2,..., c8 regroupes en quatre 
bigrammes dont les valeurs sont comprises entre 0 et 9 
sont : 

(cl, c2) = (6,1) 
(c3, c4) = (5,7) 
<c5, c6) = (4,3) 
<c7, c8) = (9,2) 

La fonction gl associe done a chaque bigramme, 
la somme des deux caracteres le constituant. Ainsi : 
I(cl, c2) = 7 
I(c3, c4) = 2 
I(c5, c6) = 7 
Z(c7, c8) = 1 

On comprend done, k partir de cet exemple, que 
1' image du code secret "61574392" est "7271". Une telle 
image 7271 peut avoir une multitude d f ant6c6dents, puisque 
chaque caract^re de cette image du code secret peut etre le 
r6sultat de la somme (ou bien l*unit6 d'un chiffre 
correspondant 4 la somme) d'une multitude de nombres 
compris entre 0 et 35. 

On comprend bien, de plus, que si 1 'utilisateur 
tapait le veritable code secret avec une erreur de frappe, 
par exemple 7 & la place de 6 pour le caract^re cl, cette 
erreur serait tout de suite detect£e localement puisque la 
somme de 7 et de 1 ne peut, bien evidemment, donner le 
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chiffre 7 qui correspond d l 1 image Icl du premier couple de 
caracteres (cl, c2) • 

Sur la figure 3A, on a represents un exemple 
5 d'une autre fonction de cryptage : la fonction g2 qui 
consiste k associer a l 1 ensemble des huit caracteres cl & 
C8 composant le code secret, quatre combinaisons lineaires 
indSpendantes, modulo 36, de ces huit caractSres, chaque 
combinaison linSaire pouvant etre differente. 
10 Par exemple, le premier caractere Icl de 1 ' image 

du code secret associe les caracteres cl, c3, c4 et c7 du 
code secret ; le second caractere Ic2 de cette image du 
code secret associe les caracteres c2, c5, c6 et c8 ; le 
troisi&me caractere de 1' image du code secret Ic3 associe 
15 les caracteres cl, c2, c5 et c7, et le quatrieme caractere 
Ic4 de l r image du code secret associe les caracteres c3, 
c4, c5 et c7 du code secret initial. 

Sur la figure 3B, on a represents le meme 
20 exemple que celui de la figure 3A, mais dans lequel on a 
attribue a chaque caractere une valeur numerique qui est la 
m§me que celle donnee dans l'exemple de la figure 2B. 
Ainsi : 

cl = 6 

25 c2 = 1 

c3 = 5 
c4 = 7 
c5 = 4 
c6 = 3 

30 c7 = 9 

c8 = 2 

Apres cryptage, par la fonction g2, d'un code 
secret de huit caracteres cl a c8, ou cl,..., c8 ont les 
valeurs ci-dessus, on obtiendra une image de code secret 
35 7007, avec Icl = 7, Ic2 = 0, Ic3 =0, Ic4 = 7. 
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Ainsi/ le procede de dissimulation du code 
secret sur le dispositif d'authentif ication pr&sente done 
l'avantage, non settlement de detecter une eventuelle faute 
de frappe de la part de 1 ' utilisateur lorsque celui-ci 
entre son code secret sur le terminal, mais surtout 
d'6viter une attaque par dictionnaire de la part d'un 
utilisateur frauduleux, puisque 1* image du code secret 
m6moris6e sur la disquette a un tel nombre de codes 
antecedents possibles qu'un utilisateur frauduleux a tr£s 
peu de chance de trouver le veritable code secret. 

Le procede decrit ci-dessus pour dissimuler un 
code secret dans une disquette informatique, une carte 4 
memoire, ou tout autre dispositif d' authentif ication, peut 
etre utilise dans un procede de verification du code secret 
entre par un utilisateur desirant acceder k un systeme 
central, d partir d'un terminal connects & un lecteur apte 
& lire son dispositif d' authentif ication. 

Pour une meilleure comprehension de l f invention, 
le procede de verification du code secret va etre decrit 
dans le cas ou le dispositif d'authentif ication est une 
disquette informatique. 

Ce procede de verification consiste, apres que 
la disquette ait 6te introduite dans le lecteur de 
disquettes associe au terminal, & ce que 1 1 utilisateur 
entre son code secret sur le terminal a partir duquel il 
d6sire se connecter au systeme central. Le terminal verifie 
alors si 1' image, par la fonction de cryptage g, du code 
secret s que vient de taper 1 'utilisateur correspond d 
1* image S mfemorisee sur la disquette. Si cela n'est pas le 
cas, alors le terminal refuse toute connexion vers le 
systeme central. Au contraire, si cela est verifie, alors 
une 6tape de determination de la cle secrete non chiffree K 
est commencee, au terme de laquelle le terminal se 
connectera au systeme central. Cette cie secrete non 
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chiffr6e K est determinee a partir de 1' inverse f" 1 de la 
fonction de chiffrage f de la cie par' le mot de passe (f 
etant une fonction reversible) , et k partir de la cie 
chiffr6e stockee sur la disquette, tel que cela est 
5 explique dans la demande de brevet FR-A-2 690 257, d6j& 
cit6e pr6cedemment . 

La procedure d' authentif ication qui est mise en 
oeuvre d6s que le terminal informatique se connecte sur le 
systeme central, ne sera done pas decrite ici puisqu'elle 
10 est identique £ celle decrite dans le document FR-A-2 690 
257. 

Un diagramme fonctionnel de ce proced6 de 
verification du code secret est represents sur la figure 4. 

La disquette informatique, ref£renc6e 10, est 

15 introduite dans le terminal informatique 14 lors d'une 
etape el. L'utilisateur, reference 12,- entre ensuite son 
code secret (s) sur le terminal 14 lors d'une etape e2 . Une 
* etape e3 est alors ef fectuee qui consiste & crypter par la 
fonction g, le code secret s que 1 1 utilisateur vient 

20 d'entrer puis & verifier si 1' image du code secret par la 
fonction g correspond bien a l 1 image de code secret s 
memoris£e sur la disquette 10. Si ce n'est pas le cas, 
alors le precede de verification est abandonne (etape e'4) 
et done aucune procedure d' authentif ication par le systeme 

25 central n'est envisag£e. Au contraire, si cette 
verification s'avere exacte, une etape e4 est effectuee. 
Cette etape e4 consiste a determiner la cle secrete non 
chiffr6e K et 4 1'envoyer au systeme central 16 qui 
commence alors la procedure d'authentif ication (etape e5) , 

30 au moyen d'un echange d' informations avec le terminal 14. 

Ainsi, le precede de verification du code secret 
assure une limitation du nombre de connexions au systeme 
central, puisque seuls les codes secrets acceptes lors de 
la verification locale du code secret font l'objet d'une 

35 procedure d'authentif ication. 
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De plus, 1' image du code secret 6tant memoris6e 
sur le dispositif d' authentif ication, et non dans une 
m6moire accessible £ tous un utilisateur frauduleux 
d6sirant connaltre cette image de code secret doit tout 
d'abord s'emparer de ce dispositif d' authentif ication, ce 
qui participe & la limitation des fraudes. 
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RE VE ND I CAT I ONS 

1. Procede de dissimulation d'un code secret 
dans un dispositif d' authentif ication informatique (10) 
5 consistant k crypter le code secret (s) par une fonction de 
cryptage (g) pour former une image de code secret (s) et a 
m&aoriser cette image de code secret dans le dispositif 
d f authentif ication, caracterise en ce qu'il consiste, au 
prealable, & choisir une fonction de cryptage (g) qui est 

10 telle que, k chaque image de code secret memorisee, il 
correspond une pluralite de codes antecedents (si,.,., sn) 
tous diff^rents du code secret, mais qui, une fois cryptes 
par la fonction de cryptage (g) , ont une image (s) 
identique k celle du code secret. 

15 2. Procede de dissimulation d'un code secret 

selon la revendication 1, caract6ris6 en ce que le code 
secret ayant n caract&res (cl, — , cn) , la fonction de 
cryptage (g) consiste £ associer A ces n caracteres 
(cl,..., cn) une image de code secret de k caracteres, avec 

20 k < n. 

3. Procede de dissimulation d'un code secret 
selon la revendication 2, caracterise en ce que le nombre k 

des caracteres de 1' image du code secret est egal & ^. 

4. Procede de verification du code secret d'un 
25 utilisateur voulant acc^der ci un syst&me central £ partir 

d'un terminal, caracterise en ce que, cet utilisateur (12) 
etant muni d'un dispositif d' authentif ication (10) dans 
lequel est m6moris£e 1' image (s) du code secret par la 
fonction de cryptage (g) conform£ment a I'une quelconque 

30 des revendications 1 & 3, il comprend une etape (e3) de 
verification locale du code secret entre par 1 ' utilisateur 
et crypto par la fonction de cryptage, par comparaison avec 
1' image du code secret memorisee dans le dispositif 
d' authentif ication, puis si cela est verifie, une etape 

35 (e5) d'authentif ication par le syst£me central (16). 
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